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Aufgaben und Ausstattung des Nationalen Cyber-Abwehrzentrums 


Vorbemerkung der Fragesteller 

Das Nationale Cyber-Abwehrzentrum (NCAZ) hat auf Basis eines Kabinettsbe¬ 
schlusses der damaligen Bundesregierung vom 23. Februar 2011 am 1. April 
2011 seine Arbeit aufgenommen. 

Das Nationale Cyber-Abwehrzentrum soll die Abwehr elektronischer Angriffe 
auf IT-Infrastrukturen der Bundesrepublik Deutschland und ihrer Wirtschaft ko¬ 
ordinieren, also die Prävention, Infonnation und Frühwarnung gegen soge¬ 
nannte Cyber-Angriffe. Es ist eine Kooperationseinrichtung der deutschen Si¬ 
cherheitsstellen auf Bundesebene und keine eigenständige Behörde, es existiert 
daher auch kein Errichtungsgesetz als gesetzliche Grundlage. Die Grundlage der 
Zusammenarbeit sind Kooperationsvereinbarungen der beteiligten Behörden. 

Die Kembehörden des Cyber-Abwehrzentrums sind das Bundesamt für Sicher¬ 
heit in der Informationstechnik (BSI), das Bundesamt für Verfassungsschutz 
(BfV) und das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe 
(BBK). Die Kembehörden des Nationalen Cyber-Abwehrzentrums (BSI, BfV 
und BBK) stellen insgesamt zehn ständige Mitarbeiter (MA) ab (davon BSI: 
6 MA, BfV: 2 MA, BBK: 2 MA). Weitere sogenannte assoziierte Behörden 
werden über Verbindungsbeamte regelmäßig und anlassbezogen eingebunden. 
Als assoziierte Behörden wirken zudem das Bundeskriminalamt (BKA), der 
Bundesnachrichtendienst (BND), die Bundespolizei, die Bundeswehr mit dem 
Militärischen Abschirmdienst (MAD) sowie das Zollkriminalamt beim Natio¬ 
nalen Cyber-Abwehrzentrum mit. 

Die aufsichtsführenden Stellen über die Betreiber der Kritischen Infrastrukturen 
(KRITIS) nach Festlegung des Bundesministeriums des Inneren, für Bau und 
Heimat (BMI) sollen unter Wahrung ihrer gesetzlichen Aufgaben und Befug¬ 
nisse ebenfalls mitwirken. Laut BMI sind die kritischen Infrastrukturen in neun 
Sektoren gegliedert: 

1. Energie: Elektrizität, Gas, Mineralöl 

2. Wasser: Öffentliche Wasserversorgung, Öffentliche Abwasserbeseitigung 

3. Ernährung: Ernährungswirtschaft, Lebensmittelhandel 

4. Infonnationstechnik und Telekommunikation 


Die Antwort wurde namens der Bundesregierung mit Schreiben des Bundesministeriums des Innern, fiir Bau und Heimat 
vom 6. Juli 2018 übermittelt. 
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5. Gesundheit: Medizinische Versorgung, Arzneimittel und Impfstoffe, La¬ 
bore 

6. Finanz- und Versicherungswesen: Banken, Börsen, Versicherungen, Fi¬ 
nanzdienstleister 

7. Transport und Verkehr: Luftfahrt, Seeschifffahrt, Binnenschifffahrt, Schie¬ 
nenverkehr, Straßenverkehr, Logistik 

8. Staat und Verwaltung: Regierung und Verwaltung, Parlament, Justizein¬ 
richtungen, NotfalL/Rettungswesen einschließlich Katastrophenschutz 

9. Medien und Kultur: Rundfunk (Fernsehen und Radio), gedruckte und elek¬ 
tronische Presse, Kulturgut, symbolträchtige Bauwerke. 

Nach der Aufgabenbeschreibung soll das Nationale Cyber-Abwehrzentrum mit 
die Abwehr elektronischer Angriffe auf IT-Infrastrukturen der Bundesrepublik 
Deutschland und ihrer Wirtschaft koordinieren. Die KRITIS werden zu einem 
großen Teil privatwirtschaftlich betrieben. Allein auf den Deutschen Bundestag 
gab es 2015 mindestens einen großen, erfolgreichen Hackerangriff (www.heise. 
de/security/meldung/Bundestags-Hack-Angriff-mit-gaengigen-Methoden-und- 
Open-Source-Tools-3 129862.html). Bei diesem Hackerangriff waren sogar Hard¬ 
wareaustausche zur Abwehr notwendig. Die Bundesregierung registriert nach 
eigenen Angaben pro Tag etwa 20 hochspezialisierte Hackerangriffe auf ihre 
Computer (www.heise.de/newsticker/meldung/Sicherheitskreise-Hacker-drangen- 
in-deutsches-Regierungsnetz-ein-3983510.html). Nach der Antwort der Bun¬ 
desregierung auf Bundestagsdrucksache 18/10839 vom 16. Januar 2017 hat ein 
Angriff pro Woche einen nachrichtendienstlichen Hintergrund. 


Vorbemerkung der Bundesregierung 

Die Bundesregierung nimmt die Vorbemerkung der Fragesteller zur Kenntnis. Sie 
stimmt weder den darin enthaltenen Wertungen zu noch bestätigt sie die darin 
enthaltenen Feststellungen oder Sachverhalte. 


1. Wie viele weitere Mitarbeiter in den drei Kernbehörden sind bzw. waren 
hauptsächlich (mehr als 75 Prozent der Arbeitszeit) mit Prävention, Infonna¬ 
tion, und Frühwarnung gegen sogenannte Cyber-Angriffe beschäftigt (bitte 
die Mitarbeiter bzw. Vollzeitäquivalente j e Behörde und je Kalenderjahr mit- 
teilen)? 

2. Wie viele Mitarbeiter in den assoziierten Behörden sind bzw. waren haupt¬ 
sächlich (mehr als 75 Prozent der Arbeitszeit) mit Prävention, Infonnation und 
Frühwarnung gegen sogenannte Cyber-Angriffe beschäftigt (bitte die Mitar¬ 
beiter bzw. Vollzeitäquivalente je Behörde und je Kalenderjahr mitteilen)? 

Die Fragen 1 und 2 werden gemeinsam beantwortet. 

Die Ressorts und Bundesbehörden verfügen in der Regel nicht über eine detail¬ 
lierte Aufstellung der Tätigkeiten ihrer Mitarbeiter. Für eine detaillierte Aufstel¬ 
lung wäre eine umfassende Kosten- und Leistungsrechnung o. Ä. hinsichtlich der 
konkreten Beschäftigung einzelner Mitarbeiter notwendig. Daher kann die Bun¬ 
desregierung diese Fragen nicht in dem gewünschten Detaillierungsgrad beant¬ 
worten. 

In Hinblick auf die Zuständigkeiten und eine Übersicht zu den mit Cyber-Abwehr 
und Cyber-Verteidigung befassten Mitarbeitern in Bundesbehörden wird auf die 
Antwort der Bundesregierung zu den Fragen 1 und 2 der Kleinen Anfrage der 
Fraktion der FDP auf Bundestagdrucksache 19/2645 verwiesen. 
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3. Wie oft waren die Verbindungsbeamten der assoziierten Behörden in den 
Jahren 2011 bis 2018 aus welchem Anlass eingebunden (bitte den jeweiligen 
Anlass, das Datum und die Anzahl der eingebundenen Beamten je Behörde 
angeben)? 

Die Verbindungsbeamten aller Cyber-Abwehrzentrums-Behörden sind arbeits¬ 
täglich in die Lagebesprechung des Cyber-Abwehrzentrum (Cyber-AZ) einge¬ 
bunden. Darüber hinaus findet wöchentlich die sogenannte Koordinierte Fallbe¬ 
arbeitung statt sowie monatlich eine Sitzung des Arbeitskreises Operativer Infor¬ 
mationsaustausch und des Arbeitskreises Nachrichtendienstliche Belange. Quar¬ 
talsweise tagt der Arbeitskreis Kritische Infrastrukturen. Die Teilnahme der ein¬ 
zelnen Cyber-AZ-Behörden hieran erfolgt durch die Verbindungspersonen ge¬ 
mäß der Ausrichtung der jeweiligen Arbeitskreise. 

Anlassbezogen werden darüber hinaus in unregelmäßigen Abständen Vollver¬ 
sammlungen der Verbindungsbeamten des Cyber-AZ durchgeführt. Im Übrigen 
wird auf die Antwort zu den Fragen 1 und 2 verwiesen. 


4. Wie oft waren die aufsichtsführenden Stellen über die Betreiber der Kriti¬ 
schen Infrastrukturen in den Jahren 2011 bis 2018 aus welchem Anlass ein¬ 
gebunden (bitte den Anlass und die Anzahl der eingebundenen Beamten je 
Behörde nach den einzelnen Jahren aufgeschlüsselt angeben)? 

Die Beteiligung der aufsichtsführenden Stellen erfolgt in der Regel einzelfallbe¬ 
zogen. Die Bundesregierung verfügt über keine Aufstellung, wann wie viele Mit¬ 
arbeiter aufsichtsfuhrender Stellen über die Betreiber der Kritischen Infrastruktu¬ 
ren von der Arbeit des Cyber-AZ betroffen waren. Daher können weder Angaben 
zum jeweiligen Anlass noch zur Anzahl der eingebundenen Beamten gemacht 
werden. 


5. Wie oft waren Vertreter aus der Wirtschaft als Betreiber der Kritischen In¬ 
frastrukturen in den Jahren 2011 bis 2018 aus welchem Anlass eingebunden 
(bitte den jeweiligen Anlass, das Datum und die Anzahl der eingebundenen 
Vertreter je Unternehmen angeben)? 

Vertreter aus der Wirtschaft als Betreiber der Kritischen Infrastrukturen waren 
und sind nicht unmittelbar in die Arbeit des Cyber-AZ eingebunden. Im Cyber- 
AZ werden die Aufgaben staatlicher Stellen gebündelt. Eine unmittelbare Einbin¬ 
dung privater Dritter ist nicht vorgesehen. 

Ergänzend wird auf die Antwort der Bundesregierung zu Frage 13 der Kleinen 
Anfrage der Fraktion DIE LINKE, auf Bundestagdrucksache 17/5694 verwiesen. 


6. Ist eine Veränderung der Anzahl und der Art der Angriffe seit der Antwort 
der Bundesregierung auf Bundestagsdrucksache 18/10839 zu registrieren? 

Falls ja, wie viele Angriffe waren es im Zeitraum 2011 bis heute, und wie 
viele hatten davon einen nachrichtendienstlichen Hintergrund (bitte die An¬ 
griffe nach Kalenderjahr aufführen)? 

Die Frage wird so verstanden, dass sie sich auf die Antwort der Bundesregierung 
zu Frage 17 der Kleinen Anfrage der Fraktion DIE LINKE, auf Bundestagsdruck¬ 
sache 18/11106 bezieht. 
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Für die Beantwortung der Frage wird auf die Berichte des Bundesamts für Sicher¬ 
heit in der Informationstechnik zur IT-Sicherheit in Deutschland verwiesen. 
Diese sind unter der Adresse www.bsi.bund.de/DE/Publikationen/Lageberichte/ 
lageberichte_node.html abrufbar. 

Eine exakte Differenzierung und Attribution von Cyberangriffen findet nicht in 
jedem Fall statt und ist auch nicht zielführend, da dies zur Abwehr des Angriffes 
nicht immer erforderlich ist und gegen den jeweils entstehenden Aufwand abge¬ 
wogen werden muss. Im Übrigen wird auf die Antwort der Bundesregierung zu 
Frage 17 der Kleinen Anfrage der Fraktion DIE LINKE, auf Bundestagsdrucksa¬ 
che 18/11106 verwiesen. Die dort getätigten Ausführungen gelten auch für das 
Jahr 2017 fort. 
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